Trojan.Siggen30.7194

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'Spades' = '%LOCALAPPDATA%\programs\Microsoft_Games\Spades\shvlzm.exe'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-i4jp7.tmp\<Имя файла>.tmp
%LOCALAPPDATA%\programs\microsoft_games\spades\vcomp140.dll
%LOCALAPPDATA%\programs\microsoft_games\spades\sqlite3.dll
%LOCALAPPDATA%\programs\microsoft_games\spades\shvlzm.exe
%LOCALAPPDATA%\programs\microsoft_games\spades\shfolder.dll
%LOCALAPPDATA%\programs\microsoft_games\spades\rus.lng
%LOCALAPPDATA%\programs\microsoft_games\spades\opus.dll
%LOCALAPPDATA%\programs\microsoft_games\spades\nf6rhik.bmp
%LOCALAPPDATA%\programs\microsoft_games\spades\msvcr120.dll
%LOCALAPPDATA%\programs\microsoft_games\spades\libssl-1_1.dll
%LOCALAPPDATA%\programs\microsoft_games\spades\libjpeg-turbo-win.dll
%LOCALAPPDATA%\programs\microsoft_games\spades\libcurl.dll
%LOCALAPPDATA%\programs\microsoft_games\spades\libcryptomd.dll
%LOCALAPPDATA%\programs\microsoft_games\spades\libcrypto-1_1.dll
%LOCALAPPDATA%\programs\microsoft_games\spades\hatls.dll
%LOCALAPPDATA%\programs\microsoft_games\spades\eng.lng
%LOCALAPPDATA%\programs\microsoft_games\spades\config.ini
%LOCALAPPDATA%\programs\microsoft_games\spades\aw_sas32.dll
%LOCALAPPDATA%\programs\microsoft_games\spades\astrct.dll
%LOCALAPPDATA%\programs\microsoft_games\spades\astprint.dll
%LOCALAPPDATA%\programs\microsoft_games\spades\astcrp.dll
%LOCALAPPDATA%\programs\microsoft_games\spades\astclient.dll
%LOCALAPPDATA%\programs\microsoft_games\spades\19o22.cfg
%TEMP%\is-ut7uj.tmp\is-g7ric.tmp
%TEMP%\is-ut7uj.tmp\wizmodernsmallimage.bmp
%TEMP%\is-ut7uj.tmp\_isetup\_iscrypt.dll
%TEMP%\is-ut7uj.tmp\_isetup\_setup64.tmp
%TEMP%\is-f9j33.tmp\<Имя файла>.tmp
%TEMP%\is-4k1fp.tmp\_isetup\_iscrypt.dll
%TEMP%\is-4k1fp.tmp\_isetup\_setup64.tmp
%LOCALAPPDATA%\programs\microsoft_games\spades\vcruntime140.dll
%LOCALAPPDATA%\programs\microsoft_games\spades\vcruntime140d.dll

Удаляет следующие файлы

%TEMP%\is-4k1fp.tmp\_isetup\_iscrypt.dll
%TEMP%\is-4k1fp.tmp\_isetup\_setup64.tmp
%TEMP%\is-i4jp7.tmp\<Имя файла>.tmp
%TEMP%\is-ut7uj.tmp\spades.msi
%TEMP%\is-ut7uj.tmp\wizmodernsmallimage.bmp
%TEMP%\is-ut7uj.tmp\_isetup\_iscrypt.dll
%TEMP%\is-ut7uj.tmp\_isetup\_setup64.tmp
%LOCALAPPDATA%\programs\microsoft_games\spades\nf6rhik.bmp
%TEMP%\is-f9j33.tmp\<Имя файла>.tmp

Перемещает следующие файлы

%TEMP%\is-ut7uj.tmp\is-g7ric.tmp в %TEMP%\is-ut7uj.tmp\spades.msi

Сетевая активность

Подключается к

'id.######akicokc0aablc.xn--p1ai':443
'78.##0.242.22':44444

TCP

Другие

'id.######akicokc0aablc.xn--p1ai':443
'78.##0.242.22':44444

UDP

DNS ASK dn#.######akicokc0aablc.xn--p1ai
DNS ASK id.######akicokc0aablc.xn--p1ai
DNS ASK cr###o-st.art

Другое

Ищет следующие окна

ClassName: 'TfmContainer' WindowName: 'Ассистент'

Создает и запускает на исполнение

'%TEMP%\is-i4jp7.tmp\<Имя файла>.tmp' /SL5="$60246,12110832,121344,<Полный путь к файлу>"
'%TEMP%\is-f9j33.tmp\<Имя файла>.tmp' /SL5="$90170,12110832,121344,<Полный путь к файлу>" /verysilent /password=2gbgb
'%LOCALAPPDATA%\programs\microsoft_games\spades\shvlzm.exe'

Перезапускает анализируемый образец

Запускает на исполнение